En bref : détection ATO couche session contre proxy résidentiel
- Les moteurs de fraude bancaire cœur excellent à scorer la transaction qui vient d'avoir lieu et sont aveugles à l'appareil qui l'a effectuée, c'est pourquoi un identifiant valide sur un proxy résidentiel passe tranquillement.
- cside renvoie empreinte d'appareil, statut VPN par handshake TLS, détection d'agents IA et nouvel appareil sur compte connu à travers les trois vecteurs fintech, mis en regard des 13,5 milliards de dollars de pertes ATO aux États-Unis en 2025 (hausse de 18 % sur 2024, 6 millions de consommateurs touchés selon Javelin), le tout certifié SOC 2 Type II.
- Si votre modèle de risque considère encore qu'une IP résidentielle propre est propre, ajoutez la couche session. Si les anneaux d'identité synthétique ne pèsent pas sur votre P&L, gardez votre moteur de règles.
Un logiciel de prévention de la fraude bancaire doit couvrir trois vecteurs d'attaque à la fois : le détournement de compte avec des identifiants volés, la fraude à l'ouverture de compte lors de l'onboarding et la fraude à l'identité synthétique qui passe le KYC standard. Chacun de ces vecteurs laisse dans le navigateur un signal que les plateformes anti-fraude côté serveur ne collectent jamais, ce qui explique pourquoi la détection au niveau du navigateur est devenue un complément nécessaire à l'infrastructure anti-fraude bancaire de base.
Les trois principaux vecteurs de fraude dans les services financiers
Le détournement de compte est le vecteur de fraude au plus fort volume dans la banque. Un attaquant obtient une paire d'identifiants valide, généralement lors d'une fuite de données ou d'une campagne de phishing, et l'utilise pour se connecter. L'identifiant est correct. L'appareil ne l'est pas. Un vrai titulaire de compte accumule un historique d'empreinte d'appareil au fil du temps, tandis que l'attaquant se présente depuis un appareil que le compte n'a jamais vu.
La fraude à l'ouverture de compte cible le processus d'ouverture de compte. Les fraudeurs demandent des comptes, des produits de crédit ou des prêts à l'aide d'identités volées ou synthétiques construites à partir d'un mélange de données réelles et fabriquées. L'objectif est d'accéder au crédit, de blanchir des fonds ou de créer des comptes en vue d'une fraude ultérieure.
La fraude à l'identité synthétique est la plus difficile des trois à détecter au moment de la demande. Une identité synthétique passe généralement le KYC standard parce qu'elle contient assez de données réelles pour satisfaire la vérification. Le signal apparaît dans le schéma d'appareil. Un seul appareil qui ouvre plusieurs comptes avec des informations d'identité différentes est la signature d'un réseau d'identités synthétiques.
Là où les outils côté serveur présentent un écart de détection
Les plateformes anti-fraude bancaire de base notent les transactions et les événements de compte à l'aide de moteurs de règles et d'apprentissage automatique entraînés sur des données historiques. Elles fonctionnent bien pour repérer les schémas de transaction anormaux une fois qu'un compte est établi et actif.
Ce qu'elles ne collectent pas, ce sont les signaux du navigateur. Lorsqu'un attaquant utilise une paire d'identifiants valide depuis un nouvel appareil via un proxy résidentiel, la vérification côté serveur voit un identifiant valide, une IP propre et aucune anomalie de transaction. Chaque contrôle est validé. L'appareil derrière le proxy, l'empreinte de navigateur qu'il présente et le fait qu'un script puisse le piloter restent invisibles pour la couche côté serveur.
Les pertes dues au détournement de compte aux États-Unis ont atteint 13,5 milliards de dollars en 2025, soit une hausse de 18 % par rapport à 2024, touchant 6 millions de consommateurs, les comptes de services financiers étant la cible principale (Javelin Strategy & Research 2026).
| Année | Pertes dues au détournement de compte aux É.-U. |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
Le navigateur est la seule couche où l'incohérence d'appareil est visible. Un outil de signaux au niveau du navigateur collecte l'empreinte d'appareil, les caractéristiques TLS et le comportement de session au chargement de la page, avant qu'une requête d'authentification ne se déclenche. C'est l'écart que les outils de la couche navigateur sont conçus pour combler.
Pourquoi les proxys résidentiels déjouent les contrôles basés sur l'IP
La limitation de débit par IP et les vérifications de réputation d'IP font partie intégrante d'une stack anti-fraude bancaire. À elles seules, elles ne suffisent pas, car les services de proxy résidentiel fournissent aux attaquants des adresses IP sans aucun historique de fraude.
Les proxys résidentiels acheminent le trafic d'attaque via de vraies connexions internet grand public, si bien que chaque requête arrive sur une IP résidentielle propre. Les systèmes de réputation n'ont rien à signaler. L'attaquant fait tourner les IP entre les tentatives, de sorte que les limites de débit par IP ne se déclenchent jamais.
L'empreinte TLS TLS handshake fingerprint identifie les connexions VPN et proxy à partir du handshake TLS lui-même, indépendamment de l'adresse IP. Un proxy résidentiel présente une signature TLS handshake fingerprint cohérente qui diffère de celle d'un navigateur standard se connectant directement. Associée à une nouvelle empreinte d'appareil sur un compte connu, elle constitue un signal d'ATO à haute confiance que les contrôles basés sur l'IP ne peuvent pas produire.
Les signaux cside de la couche navigateur pour chaque vecteur fintech
La détection de fraude au niveau du navigateur de cside correspond à chacun des trois vecteurs de fraude bancaire avec des sorties de signaux spécifiques.
Pour le détournement de compte, l'empreinte d'appareil indique si la session provient d'un appareil que le compte a déjà utilisé. Le signal TLS TLS handshake fingerprint indique si la connexion passe par un VPN ou un proxy. Une nouvelle empreinte associée à une connexion par proxy sur un compte à forte valeur est un signal de risque hautement prioritaire. cside signale également les agents IA qui pilotent la session de navigateur, notamment Playwright, Puppeteer, OpenAI Operator et Claude for Chrome, qui apparaissent dans les campagnes automatisées de credential stuffing.
Pour la fraude à l'ouverture de compte, l'empreinte d'appareil relie plusieurs demandes au même appareil même lorsque le demandeur efface les cookies ou change de navigateur. Un seul appareil qui soumet plusieurs demandes de compte avec des informations personnelles différentes sur une courte période est un signal fort de fraude à l'ouverture que la vérification d'identité seule ne peut pas produire.
Pour la fraude à l'identité synthétique, le schéma d'appareil est le signal principal. Un réseau d'identités synthétiques crée plusieurs identités et ouvre un compte avec chacune. Chaque identité passe le KYC de manière isolée. Vue à l'échelle de plusieurs comptes, l'empreinte d'appareil les relie au même appareil ou à un petit groupe d'appareils, ce qui expose le réseau.
Intégration à votre stack anti-fraude existante
cside renvoie ses signaux sous la forme d'une réponse d'API JSON. Votre moteur de règles de fraude existant lit ces signaux aux côtés des données de transaction, ajoutant un ensemble de caractéristiques de la couche navigateur à la logique de notation que vous exécutez déjà.
L'intégration consiste en une balise de script sur vos pages de connexion et d'ouverture de compte. Le script collecte les signaux du navigateur et renvoie un jeton de session. Votre backend recherche l'ensemble de signaux associé à ce jeton lorsqu'il traite l'événement d'authentification ou de demande.
cside est certifié SOC 2 Type II. L'empreinte d'appareil sans cookie signifie qu'aucune information personnelle identifiable n'est stockée ni transmise, ce qui s'aligne sur une base d'intérêt légitime au titre du RGPD et évite la charge de gestion du consentement qu'implique le suivi d'appareil basé sur des données personnelles. Cette certification correspond aux évaluations de sécurité fournisseur bancaire standard.
Posture de conformité
La certification SOC 2 Type II couvre les contrôles de sécurité, de disponibilité et de confidentialité entourant la collecte et le traitement des signaux par cside. C'est la certification que les équipes de sécurité des services financiers exigent généralement lors de l'intégration d'un nouveau fournisseur.
L'empreinte sans cookie dérive l'identifiant d'appareil entièrement à partir des caractéristiques du navigateur et du matériel, sans aucune dépendance aux cookies ni au stockage local. L'empreinte reste cohérente d'une session à l'autre sans stocker de données personnelles sur l'appareil de l'utilisateur, si bien que les exigences de consentement du RGPD relatives aux cookies de suivi ne s'appliquent pas.
Les exigences 6.4.3 et 11.6.1 de la norme PCI DSS sont obligatoires depuis mars 2025. cside produit un rapport de conformité PCI en 2 secondes validé par un QSA VikingCloud. Pour les banques qui gèrent des programmes de cartes de paiement ou l'acceptation de paiements sans présentation de carte, cette couverture PCI est un avantage supplémentaire, en plus de la fonction de signal de fraude.
